渗透常用术语（一）

 

 脚本：动态网站（asp，php，jsp）， linux， python

网站：静态网站（与后台交互比较少，如html） 动态网站（使用动态脚本编写 如：asp，php，jsp，交互方便但是安全性不高，如果代码过滤不严格可能会导致漏洞最终导致后台linux被别人随意操作）

 

http协议 ：（HyperText Transfer Protocol，超文本传输协议）是因特网上应用最为广泛的一种网络传输协议，所有的WWW文件都必须遵守这个标准。HTTP是一个基于TCP/IP通信协议来传递数据（HTML 文件, 图片文件, 查询结果等）。

 

CMS: 是内容管理系统，是一种位于WEB 前端和后端办公系统或流程之间的软件系统。内容的创作人员、编辑人员、发布人员使用内容管理系统来提交、修改、审批、发布内容。学生管理系统之类。有b/s和c/s架构

 

MD5:加密方式 不可逆

 

base64：加密可逆

 

肉鸡：肉鸡也称傀儡机，是指可以被黑客远程控制的机器。对你的电脑植入木马的电脑进行随意控制。

 

抓鸡：获取肉鸡的过程。

 

跳板：使用电脑a操控电脑b访问电脑c，最后在电脑c上只留下电脑b的行为和ip从而隐藏了电脑a的ip，b电脑就是a电脑的跳板。

 

一句话：后门的一种

 

小马：后门的一种

 

 

大马：后门的一种

 

webshell：webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。

 

 

提权：提高自己在服务器中的权限，主要针对网站入侵过程中，当入侵某一网站时，通过各种漏洞提升WEBSHELL权限以夺得该服务器权限。

 

后门：留个后门方便下次进入，而不用再重新黑一次。

 

网页后门：其实就是一段网页代码，主要以ASP和PHP代码为主。由于这些代码都运行在服务器端，攻击者通过这段精心设计的代码，在服务器端进行某些危险的操作，获得某些敏感的技术信息或者通过渗透，提权获得服务器的控制权。并且这也是攻击者控制服务器的一条通道，比一般的入侵更具有隐蔽性。网页挂马就是攻击者通过在正常的页面中（通常是网站的主页）插入一段代码。浏览者在打开该页面的时候，这段代码被执行，然后下载并运行某木马的服务器端程序，进而控制浏览者的主机。

 

源码打包：把源码打包下载 到自己主机

 

脱裤：职业入侵别人网站，然后下载数据库

 

嗅探：（窃听网络上流经的数据包）一般指嗅探器。嗅探器 可以窃听网络上流经的数据包。

 

rookit：Rootkit 是一种特殊类型的 malware（恶意软件）.Rootkit 之所以特殊是因为您不知道它们在做什么事情.Rootkit 基本上是无法检测到的,而且几乎不可能删除它们.虽然检测工具在不断增多,但是恶意软件的开发者也在不断寻找新的途径来掩盖他们的踪迹.

 

箱子：箱子就是别人通过将木马挂在网页上 然后别人点击了这个网页后就中了木马 登陆游戏后木马就会记录这个人的游戏帐号密码 然后发到挂木马这个人的指定的一个地方。。这个地方就叫游戏箱子

 

漏洞复现：你发现了一个漏洞你需要将这个漏洞展示出来。

 

Sandboxie(又叫沙箱、沙盘)即是一个虚拟系统程序，允许你在沙盘环境中运行浏览器或其他程序，因此运行所产生的变化可以随后删除。它创造了一个类似沙盒的独立作业环境，在其内部运行的程序并不能对硬盘产生永久性的影响。 在网络安全中，沙箱指在隔离环境中，用以测试不受信任的文件或应用程序等行为的工具。

 

简而言之 ，用于隔离对主机造成危害的程序的一种环境

 

软件木马：远控软件的被控端 (exe 文件)

 

脚本木马：脚本语言编写的被控端 (asp、php…)

 

拿 Webshell (有人也会说是：拿 shell)：拿到网站的最高权限

 

服务器：提供计算机服务的设备。

• 物理服务器：实体的
• 虚拟服务器：常见的，远程连接的

 

IP：代表计算机的一个网络地址

 

端口：设备与外界通讯交流的出口。(一栋大楼里面有几个房间，房间有几个门 大楼 = IP，房间的门 = 端口)

 

入侵：利用服务器方面漏洞的技术

 

压力测试 (Ddos、CC 攻击)：利用流量资源攻击服务器

 

POC：全称 ' Proof of Concept '，中文 ' 概念验证 ' ，常指一段漏洞证明的代码。

 

EXP：全称 ' Exploit '，中文 ' 利用 '，指利用系统漏洞进行攻击的动作。

 

Payload：中文 ' 有效载荷 '，指成功exploit之后，真正在目标系统执行的代码或指令。

 

Shellcode：简单翻译 ' shell代码 '，是Payload的一种，由于其建立正向/反向shell而得名。

 

 

POC是用来证明漏洞存在的，EXP是用来利用漏洞的，两者通常不是一类，或者说，PoC通常是无害的，Exp通常是有害的，有了POC，才有EXP。

 

Payload有很多种，它可以是Shellcode，也可以直接是一段系统命令。同一个Payload可以用于多个漏洞，但每个漏洞都有其自己的EXP，也就是说不存在通用的EXP。

 

Shellcode也有很多种，包括正向的，反向的，甚至meterpreter。

 

Shellcode与Shellshcok不是一个，Shellshock特指14年发现的Shellshock漏洞。

 

旁站入侵：即同服务器下的网站入侵，入侵之后可以通过提权跨目录等手段拿到目标网站的权限。常见的旁站查询工具有：WebRobot、御剑、明小子和web在线查询等。

 

C段入侵：即同C段下服务器入侵。如目标IP为192.168.1.253入侵192.168.1.*的任意一台机器，然后利用一些黑客工具嗅探获取在网络上传输的各种信息。常见的工具有：在Windows下有Cain，在Unix 环境下有Sniffit,Snoop,Tcpdump，Dsniff等

 

渗透测试：黑盒测试、白盒测试、灰盒测试

 

 

APT攻击：Advanced Persistent Threat，高级可持续性攻击，是指组织（特别是政府）或者小团体利用先进的攻击手段对特定目标进行长期持续性网络攻击的供给形式（极强的隐蔽性、潜伏期长，持续性强、目标性强）

 

 

 流程

明确目标——信息收集——漏洞探测——漏洞验证——编写报告 ——信息整理——获取所需——信息分析

 

环境

虚拟机 目标靶机系统的安装 HTTP协议 网站搭建

 

http头

200 响应码

date 日期

content-type 类型

Accept-charset 浏览器可接受的字符集

Content-length 表示请求信息的正文的长度

Cookie 是很重要的信息之一

http: //www.xxx.xxx.com/IPsot=373

 

http头注入攻击

注入 X-Forwarded-For:1.1.1.1’

在对ip进行传输的时候用的是insert into update方式来传输或修改，用上述方式就可能通过报错形成注入攻击。

 

 

 

7.IPC$

是共享“命名管道”的资源，它是为了让进程间通信而开放的饿命名管道，可以通过验证用户名和密码获得相应的权限，在远程管理计算机和查看计算机的共享资源时使用。

 

溢出

确切的讲，简单的应该是“缓冲区溢解释就是程序对接受的输入数据没有执行有效的检测而导致出”。错误，后果可能是造成程序崩溃或者是执行攻击者的命令。大致可以分为两类：（1）堆溢出（2）栈溢出

 

注入

随着B/S模式应用开发的发展，使用这种模式编写程序的程序员越来越来越多，但是由于程序员的水平参差不齐相当大一部分应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想要知的数据，这个就是所谓的SQLinjection，即：SQL注意入。

 

注入点

是可以实行注入的地方，通常是一个访问数据库的连接。根据注入点数据库的运行帐号的权限的不同，你所得到的权限也不同。

 

内网

通俗的讲就是局域网，比如网吧，校园网，公司内部网等都属于此类。查看IP地址如果是在以下三个范围之内的话，就说明我们是处于内网之中的：10.0.0.0—10.255.255.255，172.16.0.0—172.31.255.255，192.168.0.0—192.168.255.255

 

外网

直接连入INTERNET（互连网），可以与互连网上的任意一台电脑互相访问，IP地址不是保留IP（内网）IP地址。

 

端口（Port）

相当于一种数据的传输通道。用于接受某些数据，然后传输给相应的服务，而电脑将这些数据处理后，再将相应的恢复通过开启的端口传给对方。一般每一个端口的开放的偶对应了相应的服务，要关闭这些端口只需要将对应的服务关闭就可以了。

 

3389、4899肉鸡

3389是WINDWS终端服务（Terminal Services）所默认使用的端口号，该服务是微软为了方便网络管理员远程管理及维护服务器而推出的，网络管理员可以使用远程桌面连接到网络上任意一台开启了终端服务的计算机上，成功登陆后就会象操作自己的电脑一样来操作主机了。这和远程控制软件甚至是木马程序实现的功能很相似，终端服务的连接非常稳定，而且任何杀毒软件都不会查杀，所以也深受黑客喜爱。黑客在**了一台主机后，通常都会想办法先添加一个属于自己的后门帐号，然后再开启对方的终端服务，这样，自己就随时可以使用终端服务来控制对方了，这样的主机，通常就会被叫做3389肉鸡。Radmin是一款非常优秀的远程控制软件，4899就是Radmin默认使以也经常被黑客当作木马来使用（正是这个原因，目前的杀毒软件也对Radmin查杀了）。有的人在使用的服务端口号。因为Radmin的控制功能非常强大，传输速度也比大多数木马快，而且又不被杀毒软件所查杀，所用Radmin管理远程电脑时使用的是空口令或者是弱口令，黑客就可以使用一些软件扫描网络上存在Radmin空口令或者弱口令的主机，然后就可以登陆上去远程控制对恶劣，这样被控制的主机通常就被成做4899肉鸡。

 

免杀

就是通过加壳、加密、修改特征码、加花指令等等技术来修改程序，使其逃过杀毒软件的查杀。

 

花指令

就是几句汇编指令，让汇编语句进行一些跳转，使得杀毒软件不能正常的判断病毒文件的构造。说通俗点就是”杀毒软件是从头到脚按顺序来查找病毒。如果我们把病毒的头和脚颠倒位置，杀毒软件就找不到病毒了“。

 

“反弹端口”原理

服务端（被控制端）主动连接客户端（控制端），为了隐蔽起见，监听端口一般开在80（提供HTTP服务的端口），这样，即使用户使用端口扫描软件检查自己的端口，也难以发现。而控制端发给服务端的数据是一个第三方的空间来实现的，一般用一个主页空间，控制端通过FTP写主页空间上的一个文件，而服务端定期?*** TTP协议读取这个文件的内容，当发现客户端让自己开始连接时，就主动连接。这样，控制端就可以穿过防火墙，甚至还能访问局域网内部的电脑。

 

软件加壳

“壳”是一段专门负责保护软件不被非法修改或反编译的程序。它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。经过加壳的软件在跟踪时已看到其真实的十六进制代码，因此可以起到保护软件的目的。

 

软件脱壳

顾名思义，就是利用相应的工具，把在软件“外面”起保护作用的“壳”程序去除，还文件本来面目，这样再修改文件内容就容易多了。

 

蠕虫病毒

它利用了WINDOWS系统的开放性特点，特别是COM到COM+的组件编程思路，一个脚本程序能调用功能更大的组件来完成自己的功能。以VB脚本病毒为例，它们都是把VBS脚本文件加在附件中，使用*.HTM，VBS等欺骗性的文件名。蠕虫病毒的主要特性有：自我复制能力、很强的传播性、潜伏性、特定的触发性、很大的破坏性。

 

缓冲区溢出

功击者向一个地址区输入这个区间存储不下的大量字符。在某些性况下，这些多余的字符可以作为“执行代码”来运行，因此足以使功击者不受安全措施限制地获得计算机的控制权。

 

CMD

是一个所谓命令行控制台。有两条进入该程序的通道：第一、鼠标点击“开始—运行”，在出现的编辑框中键入“CMD”，然后点击“确定”；第二、在启动Windows2000的时候，按F8进入启动选择菜单，移动光条或键入数字至安全模式的命令行状态。出现的窗口是一个在win9x系统常见的那种MSDOS方式的界面。尽管微软把这个工具当做命令解释器一个新的实例，但使用方法去和原来的DOS没有区别。

 

嗅控器（Snifffer）

就是能够捕获网络报文的设备。嗅控器的正当用处在于分析网络的流量，以便找出所关心的网络中潜在的问题。

 

密罐（Honeypot）

是一个包含漏洞的系统，它摸拟一个或多个易受功击的主机，给黑客提供一个容易功击的目标。由于密罐没有其它任务需要完成，因此所有连接的尝试都应被视为是可疑的。密罐的另一个用途是拖延功击者对其真正目标的功击，让功击者在密罐上浪费时间。与此同时，最初的功击目标受到了保护，真正有价值的内容光焕发不将受侵犯。

 

路由器（Routers）

是用来连接不同子网的中枢，它们工作于osi 7层模型的传输层和网络层。路由器的基本功能就是将网络信息包传输到它们的目的地。一些路由器还有访问控制列表（ACLs），允许将不想要的信息包过滤出去。许多路由器都可以将它们的日志信息注入到IDS系统中，提供有关被阻挡的访问网络企图的宝贵信息。

 

端口合计详情

• 21 ftp
• 22 SSH
• 23 Telnet
• 80 web
• 80-89 web
• 161 SNMP
• 389 LDAP
• 443 SSL心脏滴血以及一些web漏洞测试
• 445 SMB
• 512,513,514 Rexec
• 873 Rsync未授权
• 1025,111 NFS
• 1433 MSSQL
• 1521 Oracle:(iSqlPlus Port:5560,7778)
• 2082/2083 cpanel主机管理系统登陆 （国外用较多）
• 2222 DA虚拟主机管理系统登陆 （国外用较多）
• 2601,2604 zebra路由，默认密码zebra
• 3128 squid代理默认端口，如果没设置口令很可能就直接漫游内网了
• 3306 MySQL
• 3312/3311 kangle主机管理系统登陆
• 3389 远程桌面
• 4440 rundeck 参考WooYun: 借用新浪某服务成功漫游新浪内网
• 5432 PostgreSQL
• 5900 vnc
• 5984 CouchDB http://xxx:5984/_utils/
• 6082 varnish 参考WooYun: Varnish HTTP accelerator CLI 未授权访问易导致网站被直接篡改或者作为代理进入内网
• 6379 redis未授权
• 7001,7002 WebLogic默认弱口令，反序列
• 7778 Kloxo主机控制面板登录
• 8000-9090 都是一些常见的web端口，有些运维喜欢把管理后台开在这些非80的端口上
• 8080 tomcat/WDCP主机管理系统，默认弱口令
• 8080,8089,9090 JBOSS
• 8083 Vestacp主机管理系统 （国外用较多）
• 8649 ganglia
• 8888 amh/LuManager 主机管理系统默认端口
• 9200,9300 elasticsearch 参考WooYun: 多玩某服务器ElasticSearch命令执行漏洞
• 10000 Virtualmin/Webmin 服务器虚拟主机管理系统
• 11211 memcache未授权访问
• 27017,27018 Mongodb未授权访问
• 28017 mongodb统计页面
• 50000 SAP命令执行
• 50070,50030 hadoop默认端口未授权访问
• 554 实时流协议（监控）53 dns 110 pop3 1080 socket5